Spring Security：如何在请求头中传递OAuth2访问令牌

嗨，这个问题问得好！把令牌从URL参数移到请求头确实是提升安全性的关键一步——毕竟URL里的参数很容易被日志、浏览器历史或者代理服务器记录下来，风险很高。咱们一步步来搞定这个需求：

1. 使用标准的OAuth2请求头格式传递令牌 #

OAuth2协议推荐的令牌传递方式是通过Authorization请求头，采用Bearer认证方案，格式非常简单：

Authorization: Bearer <你的access_token>

举个实际的例子，你之前的请求是：

http://localhost:8090/myapplication/users/user?access_token=4c520795-eb07-4c2d-a91b-474c85fb481e

改成请求头传递后，请求的核心部分变成：

• 请求头添加：Authorization: Bearer 4c520795-eb07-4c2d-a91b-474c85fb481e
• 请求地址简化为：http://localhost:8090/myapplication/users/user

如果用命令行工具curl测试，命令是这样的：

curl -H "Authorization: Bearer 4c520795-eb07-4c2d-a91b-474c85fb481e" http://localhost:8090/myapplication/users/user

要是用Postman或者Insomnia这类工具，直接在「Headers」面板里新增一条键值对就行：

• Key: Authorization
• Value: Bearer 4c520795-eb07-4c2d-a91b-474c85fb481e

2. 确保你的Spring Security OAuth2应用支持这种方式 #

好在Spring Security OAuth2（不管是传统的spring-security-oauth2模块，还是Spring Security 5+内置的OAuth2资源服务器功能）默认就支持解析Authorization: Bearer头，不需要额外做太多配置，但还是要确认几点：

• 如果你是用@EnableResourceServer注解配置资源服务器：默认的BearerTokenExtractor会自动同时支持请求头和URL参数两种方式，所以只要你没自定义tokenExtractor覆盖这个逻辑，头方式就能直接用。
• 如果你是用Spring Security 5.4+的新资源服务器配置（比如http.oauth2ResourceServer().jwt()或者.opaqueToken()）：同样默认会解析Authorization头里的Bearer令牌，无需额外配置。

要是你之前为了强制用URL参数做过特殊配置（比如自定义了只解析参数的tokenExtractor），那需要调整回来，比如恢复默认的BearerTokenExtractor，或者在自定义提取器里同时支持头和参数的解析。

3. 为什么这种方式更安全？ #

最后再啰嗦两句为什么要这么改：

• URL参数会被服务器日志、浏览器历史记录、HTTP代理服务器日志明文记录，一旦泄露风险极大；
• Authorization头在HTTPS传输时会被加密，中间节点无法明文获取；
• 浏览器不会把请求头内容存在地址栏历史里，也不会意外泄露给第三方脚本（相比URL参数）。

内容的提问来源于stack exchange，提问作者Krish